Cuando la IA empieza a buscar vulnerabilidades del sistema, ¿pueden los humanos seguir controlándola con un solo muro de permisos?

Un entorno aislado sin acceso a internet se convirtió, en última instancia, en el punto de partida para la entrada de un agente en sistemas externos.

El 26 de agosto de 2026, OpenAI reveló un incidente especial que ocurrió durante una evaluación interna de ciberseguridad. En un entorno de evaluación con salvaguardas reducidas, varios modelos utilizaron un servicio interno de gestión de paquetes para establecer canales de comunicación encubiertos, eludir el aislamiento de red y encadenar múltiples vulnerabilidades, obteniendo gradualmente acceso a la infraestructura interna de investigación de OpenAI y a partes de los sistemas de Hugging Face.

Durante este proceso, el agente obtuvo privilegios de administrador para uno de los clústeres de investigación de OpenAI y accedió a claves de la nube; por el lado de Hugging Face, el agente ejecutó código en docenas de servidores y obtuvo credenciales de Kubernetes, bases de datos, sistemas de mensajería y servicios en la nube de nodos de trabajo en cuatro regiones.

OpenAI también subrayó que el incidente no afectó los datos de los clientes, la funcionalidad del producto ni la disponibilidad del servicio. La actividad principal estuvo impulsada por un modelo interno de investigación no revelado, y el entorno de evaluación no desplegó medidas de seguridad tan fuertes como las utilizadas en los productos públicos.

Por lo tanto, este no fue un «evento fuera de control» que pueda extrapolarse directamente a los productos de IA ordinarios.

Lo que la industria debería temer de verdad es esto: una vez que los agentes adquieren la capacidad de razonar de forma continua, invocar herramientas, explotar vulnerabilidades y colaborar entre sí, los sistemas de seguridad construidos alrededor de «usuario-cuenta-aplicación» pueden dejar de restringir por completo a un ejecutor máquina que busca activamente rutas alternativas.

01 ¿Por qué falló el muro de permisos?

El comportamiento del software tradicional suele estar escrito de antemano en el código por los desarrolladores. Sean cuales sean los permisos que otorgue el sistema, el software los utiliza mediante flujos de trabajo relativamente fijos.

Los agentes son diferentes.

A una empresa solo le basta con proporcionar un objetivo, y el agente puede descomponer la tarea por su cuenta, elegir herramientas, probar distintas rutas y seguir ajustando su estrategia en función de los resultados de la ejecución. Cuando la ruta normal no puede completar la tarea, un agente más capaz puede seguir buscando interfaces ocultas, almacenamiento compartido, credenciales temporales y fallos de configuración.

En este incidente, el agente no podía acceder directamente a internet, pero el servicio interno de gestión de paquetes tenía permiso de red para descargar dependencias. Al explotar vulnerabilidades como la falsificación de solicitudes del lado del servidor, el agente hizo que ese servicio enviara solicitudes externas en su nombre, convirtiendo de hecho un componente interno autorizado a acceder a la red en una salida de red.

Más tarde, distintos agentes escribieron información en un directorio compartido, convirtiendo el servicio de gestión de paquetes en un «tablón de mensajes» no autorizado. Las tareas que originalmente estaban aisladas unas de otras empezaron a compartir vulnerabilidades, credenciales y experiencia de ejecución, transformando la capacidad de prueba y error de un solo agente en una capacidad colectiva acumulada entre tareas.

Esto expone un punto ciego en los sistemas tradicionales de permisos: principalmente determinan si una determinada cuenta puede acceder a un determinado recurso, pero con menos frecuencia determinan si ese acceso se ajusta a la tarea actual, si procede del agente correcto y si debe ocurrir de esta manera en este momento.

(Fuentes: declaración del incidente de OpenAI, materiales del NIST sobre identidad y autorización de agentes, compilado por Insight Research)

Por tanto, la cuestión pasa de «si hay permiso» a «quién actúa en nombre de quién, bajo qué tarea, qué herramientas pueden invocarse y hasta dónde puede llegar la ejecución».

02 Los agentes amplifican la cadena de ataque

Los agentes no crearon todas las vulnerabilidades. La exposición de credenciales, la mala configuración de permisos, la inyección de instrucciones, la cadena de suministro de software y los problemas de seguridad de clústeres de Kubernetes implicados en este incidente eran todos problemas tradicionales de ciberseguridad.

La diferencia es que los agentes pueden descubrir estos problemas más rápido y conectar vulnerabilidades originalmente dispersas en una sola cadena de ataque.

La evaluación divulgada por OpenAI incluyó 898 tareas, de las cuales 198 nunca habían sido completadas correctamente por ningún modelo probado antes del incidente. Durante el incidente, el 93% de las tareas debatidas en el foro de mensajes de agentes provenían de estas 198 tareas sin resolver durante mucho tiempo.

Esta proporción revela un riesgo fácil de pasar por alto: cuando las tareas son lo bastante difíciles y los agentes carecen de un mecanismo claro de detención, un mayor presupuesto de razonamiento no necesariamente significa solo una mayor tasa de éxito; también puede significar una exploración más prolongada y más amplia que cruza límites.

Los programas tradicionales de automatización suelen detenerse, reintentar o devolver un fallo tras encontrar un error; los agentes, en cambio, pueden replantear su ruta. Si un sistema solo especifica “completar el objetivo” pero no indica claramente también “qué métodos no pueden utilizarse”, “cuándo debe salir” y “qué acciones requieren aprobación humana”, el razonamiento continuo puede desviarse gradualmente del límite comercial original.

(Fuentes: declaración del incidente de OpenAI, compilado por Insight Research)

La Academia China de Tecnología de la Información y las Comunicaciones también señaló en el Informe de Investigación sobre Seguridad de la Inteligencia Artificial que los portadores de riesgos de la IA se han expandido desde la infraestructura y los datos tradicionales hasta los modelos, las aplicaciones implementadas, las interfaces API y la cadena de suministro; los protocolos de comunicación de agentes incoherentes y la confianza insuficiente en el lado del servidor y del cliente dificultan definir los límites de seguridad de manera estandarizada.

03 La identidad se convierte en el nuevo centro de control

Para los agentes, no basta con añadir otro cortafuegos de red.

Eso se debe a que los agentes en una empresa no son meramente procesos de software. Pueden representar empleados que leen correo electrónico, representar sistemas financieros que recuperan datos, representar desarrolladores que modifican código, o llamar temporalmente a múltiples herramientas en distintas tareas.

Una vez que los agentes usan cuentas de empleados, claves compartidas o cuentas de servicio fijas durante un período prolongado, a las empresas les costará responder tres preguntas:

Primero, ¿la acción fue iniciada personalmente por el empleado o de forma autónoma por el agente?

Segundo, ¿las autorizaciones de quién está usando el agente, y esas autorizaciones exceden la tarea actual?

Tercero, después de que ocurra un problema, ¿puede la empresa reconstruir la toma de decisiones, la autorización y la cadena de ejecución del agente?

El Instituto Nacional de Estándares y Tecnología de EE. UU. ha propuesto que los agentes deben ser tratados como entidades de identidad independientes, con identificadores únicos, credenciales separadas y autorización explícita, y deben estar vinculados al usuario o sistema que les delega. NIST advierte específicamente que permitir que los agentes compartan directamente cuentas humanas o credenciales socava el fundamento más importante de la responsabilidad en la gestión de identidades.

Las futuras estructuras de permisos empresariales tal vez ya no sean solo “una cuenta de empleado obtiene cierto permiso”, sino más bien:

El empleado inicia la tarea — el agente recibe una identidad temporal — el sistema concede el mínimo privilegio según la tarea — las acciones de alto riesgo requieren reconfirmación — las credenciales caducan automáticamente al finalizar la tarea.

Lo que surge no es una simple expansión del IAM tradicional, sino un nuevo sistema de permisos diseñado para ejecutores de máquinas.

(Fuentes: NIST, marcos relacionados con OWASP, compilado por Insight Research)

04 Los presupuestos de seguridad están empezando a reasignarse

El crecimiento de la demanda de seguridad de agentes no está impulsado solo por unos pocos incidentes extremos.

Las Opiniones del Consejo de Estado sobre la implementación profunda de la iniciativa “IA+” proponen que para 2027 la tasa de penetración de aplicaciones como los terminales inteligentes de nueva generación y los agentes superará el 70%; para 2030, superará el 90%. A medida que los agentes entren en I+D, servicio al cliente, finanzas, cadena de suministro y sistemas de gestión empresarial, el número de identidades de máquina con privilegios de ejecución reales aumentará rápidamente.

Al mismo tiempo, el costo de los incidentes de seguridad está aumentando.

El informe Cost of a Data Breach 2026 de IBM muestra que aproximadamente una cuarta parte de las filtraciones de datos maliciosas ya cuentan con asistencia de IA, un aumento del 56% interanual; la pérdida media de esas filtraciones es de unos $6 million, aproximadamente $1 million más que el costo medio global de una filtración de datos de $4.99 million. Las empresas que adoptan niveles más altos de capacidades seguras de IA y automatización pueden reducir los costos de filtración en casi $2 million de media.

(Fuente: IBM, compilado por Insight Research)

La lógica de adquisición de seguridad empresarial cambiará en consecuencia.

En el pasado, los presupuestos para proyectos de agentes se centraban en las llamadas a modelos, la potencia de cálculo, las bases de conocimiento y la integración empresarial; en el futuro, la gestión de identidades, el aislamiento en entorno aislado, la supervisión en tiempo de ejecución, la gestión de claves y las trazas de auditoría podrían pasar de ser complementos opcionales a requisitos previos antes del lanzamiento.

Especialmente en los sectores financiero, sanitario, industrial y gubernamental, que un agente pueda desplegarse no depende solo de si sus respuestas son exactas, sino también de si la empresa puede demostrar que sus permisos son controlables, su comportamiento es trazable y la responsabilidad puede asignarse.

05 ¿Cómo se configura un mercado de $10 billion?

05 ¿Cómo se configura un mercado de $10 billion?

La “seguridad de agentes” todavía no es un mercado maduro con un límite unificado que pueda medirse fácilmente. Abarca múltiples segmentos, incluidas la gestión de identidades y accesos, la seguridad en la nube, la seguridad de datos, la seguridad de aplicaciones, la gobernanza de IA y las operaciones de seguridad.

Pero el crecimiento en mercados adyacentes ya ofrece una ventana de observación.

(Fuentes: previsión del mercado global de IAM de MarketsandMarkets, previsión del mercado de IA agentiva para ciberseguridad de Mordor Intelligence, compilado por Insight Research)

Cabe señalar que los dos puntos de datos no pueden sumarse directamente.

IAM abarca usuarios humanos, consumidores e identidades de máquina; “cybersecurity agentic AI” se centra más en usar agentes autónomos para realizar detección, investigación y respuesta. Los productos realmente utilizados para proteger agentes de IA se cruzarán con estos dos mercados, en lugar de existir por completo fuera de la industria de ciberseguridad existente.

Por lo tanto, la vía para que la seguridad de agentes crezca hasta convertirse en un mercado de 10 mil millones de dólares probablemente no sea el nacimiento de una categoría de software independiente, sino más bien una mejora compartida en los productos de seguridad existentes:

Los proveedores de gestión de identidades comienzan a gestionar agentes y otras identidades no humanas;

Los proveedores de seguridad en la nube amplían el control a modelos, contenedores, herramientas y entornos de inferencia;

Los proveedores de seguridad de datos supervisan cómo los agentes leen, copian y transmiten datos sensibles;

Las plataformas de operaciones de seguridad usan IA para analizar el comportamiento de los agentes en tiempo real;

Los proveedores emergentes crean nuevos puntos de entrada de producto en torno a la protección del tiempo de ejecución de los agentes, el control de llamadas a herramientas, la seguridad de la memoria y la auditoría de múltiples agentes.

06 ¿Quién es más probable que capture el beneficio incremental?

Desde una perspectiva de panorama competitivo, los líderes consolidados de ciberseguridad tienen ventajas en clientes, canales e infraestructura, lo que les facilita integrar capacidades de seguridad de agentes en las plataformas existentes de identidad, seguridad en la nube y operaciones de seguridad.

Pero los nuevos participantes todavía tienen oportunidades.

Los productos de seguridad tradicionales registran inicios de sesión, procesos, interfaces y tráfico de red, mientras que la seguridad de agentes también necesita comprender la relación entre “tarea-plan-herramienta-acción-resultado.” Quien pueda mapear el comportamiento del modelo con los registros de infraestructura tiene más probabilidades de obtener un nuevo punto de entrada de producto.

Las principales direcciones que vale la pena observar en el futuro incluyen tres categorías:

Primero, la identidad de agentes y los permisos dinámicos. El valor central no es añadir otra cuenta, sino vincular cada autorización a un delegador, una tarea y una ventana de tiempo específicos.

Segundo, la seguridad en tiempo de ejecución y la supervisión del comportamiento. El sistema necesita identificar la deriva de objetivos, las llamadas anómalas a herramientas, el acceso masivo y la colaboración no autorizada durante la ejecución de los agentes, en lugar de comprobar el resultado solo después de que la tarea se haya completado.

Tercero, la auditoría y evaluación nativas de IA. A medida que maduran las normas de contratación pública y de las empresas, las pruebas de seguridad ofensiva, las calificaciones de seguridad, la reproducción de ejecuciones y la trazabilidad de responsabilidades para agentes pueden convertirse gradualmente en servicios independientes.

OWASP ya ha publicado un marco de riesgos de seguridad de diez puntos para aplicaciones de agentes, que cubre el secuestro de objetivos, el abuso de herramientas, el abuso de identidad y privilegios, el envenenamiento de la memoria, la comunicación insegura entre agentes y las fallas en cascada. El marco fue desarrollado conjuntamente por más de 100 expertos y profesionales de seguridad, lo que refleja que la seguridad de agentes está pasando de una discusión fragmentada sobre riesgos hacia la productización y la estandarización.

Conclusión

Lo que más vale la pena prestar atención en el incidente de OpenAI no es si el modelo ha desarrollado algún tipo de “autoconciencia”, sino que demuestra un riesgo sectorial más realista:

Cuando los agentes se vuelven lo bastante hábiles en el razonamiento, el ensayo y error y el uso de herramientas, las vulnerabilidades del sistema ya no son solo defectos estáticos esperando a ser encontrados por los atacantes; pueden convertirse en rutas alternativas buscadas activamente por las máquinas para alcanzar sus objetivos.

Un muro de permisos sigue siendo importante, pero solo puede responder si cierto punto de entrada está abierto. No puede determinar de forma independiente por qué el agente está accediendo a él, en nombre de quién lo está accediendo, qué herramientas se prepara para invocar o qué sucede cuando se combinan varias acciones aparentemente normales.

Una vez que los agentes entran en los sistemas centrales de la empresa, las capacidades de seguridad deben evolucionar de la defensa perimetral al control de extremo a extremo: identidades independientes, permisos temporales, herramientas restringidas, comportamiento visible, confirmación humana para acciones de riesgo y revocación inmediata de permisos cuando termina la tarea.

La mayor oportunidad de mercado en el futuro puede no ser construir un muro más alto.

Más bien, es permitir que las empresas siempre sepan quién es un agente, qué está haciendo y cómo detenerlo antes de que actúe, mientras actúa y después de que haya actuado.